무슨 일이 있었나
2.0.23까지의 Cheshire Cat AI 코어는 업로드 플러그인에서 유형 제한 없이 업로드된 HTML 파일을 저장하고 애플리케이션 출처에서 제공합니다. 인증된 사용자는 적대적인 HTML 파일을 업로드하고 공개 URL을 로그인한 피해자에게 보내며, 피해자의 브라우저는 피해자의 access_token 쿠키(관리자 포함)로 스크립트를 실행합니다.
왜 중요한가
일반 사용자가 조작된 업로드와 공모하여 관리자 세션에서 스크립트를 실행할 수 있는 LLM 채팅/에이전트 플랫폼은 전체 AI 애플리케이션(플러그인 구성, 프롬프트 저장소, 모델 자격 증명)에 대한 권한 상승 경로를 엽니다.
공격 경로
인증된 사용자가 POST /uploads를 통해 HTML 파일을 업로드합니다(유형 제한 없음). 애플리케이션 출처에서 제공되는 공개 GET /uploads/{경로} URL이 로그인한 피해자(관리자 포함)에게 전송됩니다; 페이로드는 피해자의 access_token 쿠키로 애플리케이션 출처에서 실행됩니다.
영향받는 시스템
cheshire-cat-ai/core <= 2.0.23 (업로드 플러그인)
완화 방안
게시 시점에 출시된 수정 사항 없음; 업로드 MIME 유형을 제한하고 업로드를 별도의 콘텐츠 중립 출처/도메인에서 제공하세요(VulnCheck 권고 참조).